Wniosek o wpis do wykazu podmiotów kluczowych i ważnych: krok po kroku

Kto składa wniosek, a kto jest wpisywany z urzędu

Ustawa opiera się na zasadzie samoidentyfikacji. Podmiot sam ustala, czy jest podmiotem kluczowym albo ważnym, i sam składa wniosek. Wyjątkiem są podmioty, które minister właściwy do spraw informatyzacji wpisuje do wykazu z urzędu na podstawie rejestrów publicznych (art. 7a ust. 2, art. 34 ust. 2):

• dotychczasowi operatorzy usług kluczowych,
• przedsiębiorcy telekomunikacyjni,
• dostawcy usług zaufania,
• podmioty publiczne,
• podmioty krytyczne.

Takie podmioty otrzymują zawiadomienie o wpisie i wezwanie do uzupełnienia brakujących danych w ciągu 6 miesięcy (art. 7b). Pozostali, czyli większość firm z sektorów wymienionych w załącznikach, muszą złożyć wniosek sami. Brak zawiadomienia z ministerstwa nie oznacza, że ustawa firmy nie dotyczy.

Jakie dane przygotować

Wniosek zawiera dane wymienione w art. 7 ust. 2 pkt 1–18 ustawy. W praktyce warto zebrać je w jednym arkuszu przed rozpoczęciem wypełniania:

Podpis i oświadczenie kierownika

Wniosek sporządza się w postaci elektronicznej i opatruje kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym kierownika podmiotu lub osoby przez niego upoważnionej. Można też użyć kwalifikowanej pieczęci elektronicznej ze wskazaniem osoby, która ją stosuje (art. 7c ust. 6).

Jeśli działa pełnomocnik, dołącza się elektroniczne pełnomocnictwo. Nie jest ono potrzebne dla pełnomocnika ujawnionego w CEIDG ani prokurenta ujawnionego w KRS (art. 7c ust. 7).

Każdy wniosek o wpis, zmianę lub wykreślenie zawiera oświadczenie kierownika o zgodności danych z prawdą, składane pod rygorem odpowiedzialności karnej z art. 233 § 6 Kodeksu karnego (art. 7c ust. 5). Odpowiedzialność za fałszywe oświadczenie nie obejmuje podania zakresów adresów IP i nazw domenowych. Mimo to dane techniczne warto starannie sprawdzić z działem IT lub dostawcą.

Wysłanie i skutek wpisu

1. Wniosek składa się w systemie teleinformatycznym, o którym mowa w art. 46 ustawy, prowadzonym przez Ministra Cyfryzacji. Według komunikatu ministerstwa aplikacja wykazu jest dostępna pod adresem wykaz-ksc.gov.pl.
2. Wpis następuje z chwilą złożenia wniosku (art. 7d ust. 1). Ma charakter deklaratoryjny: potwierdza status, który wynika wprost z ustawy (art. 7d ust. 5).
3. Wpisu nie dokonuje się, jeśli wniosek nie zawiera wymaganych danych, oświadczenia kierownika lub podpisu albo gdy podmiot już jest w wykazie (art. 7d ust. 3).
4. Na żądanie minister wydaje elektroniczne zaświadczenie o wpisie z aktualnymi danymi (art. 7d ust. 6–7). Przydaje się ono np. w relacjach z klientami i przy przetargach.

Po wpisie: o czym pamiętać

• System S46. Po uzyskaniu wpisu podmiot zaczyna korzystać z systemu teleinformatycznego S46 (art. 9 ust. 1 pkt 4), przez który przekazuje się m.in. zgłoszenia incydentów. Według komunikatu Ministerstwa Cyfryzacji rozpoczęcie korzystania z S46 ma nastąpić najpóźniej do 3.04.2027.
• Firmy, które zaczną podlegać ustawie później (np. po przekroczeniu progu wielkości), mają 6 miesięcy na wniosek, 12 miesięcy na wdrożenie obowiązków i – jeśli są podmiotem kluczowym – 24 miesiące na pierwszy audyt, licząc od dnia spełnienia przesłanek (art. 7c ust. 1, art. 16).
• Aktualizacja w 14 dni. Każdą zmianę danych z art. 7 ust. 2 pkt 1–18 (np. nowa osoba do kontaktu, nowa domena, zmiana adresu) zgłasza się wnioskiem o zmianę wpisu z numerem podmiotu w wykazie (art. 7c ust. 3–4).
• Kolejne obowiązki biegną dalej. Wpis nie kończy pracy. Do 3 kwietnia 2027 r. trzeba wdrożyć SZBI i procedury incydentów.
• Organ może wpisać firmę sam. Organ właściwy dla sektora prowadzi bieżącą analizę podmiotów i wpisuje do wykazu z urzędu podmiot, który się nie zarejestrował (art. 42 ust. 1 pkt 1–2). Wpis z urzędu nie usuwa naruszenia terminu.
• Brak wniosku to naruszenie. Niewykonanie obowiązku z art. 7c jest wymienione wśród przesłanek kary dla kierownika (art. 73a ust. 1 pkt 1). Kary można nakładać od 3 kwietnia 2028 r.

Lista kontrolna przed złożeniem wniosku

1. Potwierdzony status (kluczowy / ważny), sektor, podsektor i rodzaj podmiotu.
2. Obliczona wielkość firmy z uwzględnieniem przedsiębiorstw partnerskich i powiązanych.
3. Aktualna lista publicznych adresów IP i domen, potwierdzona przez IT lub dostawcę.
4. Co najmniej dwie osoby do kontaktu (w mikro- i małej firmie co najmniej jedna) oraz administrator konta.
5. Dostępny podpis kierownika (kwalifikowany, zaufany lub osobisty) albo pełnomocnictwo.
6. Kopia złożonego wniosku i potwierdzenie wpisu w dokumentacji SZBI.